Von einem VPS aus versenden

Der eingebaute MTA von Owlat stellt direkt an den Mailserver jedes Empfängers zu. Das gibt Ihnen Kontrolle, macht aber zugleich die öffentliche IP-Adresse Ihres VPS zum Teil Ihrer Absenderidentität. Ein korrekter DNS-Eintrag kann weder die Historie einer recycelten IP noch eine providerweite SMTP-Sperre auslöschen.

Dieser Leitfaden hilft Ihnen zu entscheiden, ob Direktzustellung passend ist, den Server vorzubereiten und zu verstehen, was Owlat in den ersten vier Aufwärmwochen tut. Für die DNS-Einträge selbst halten Sie DNS- & E-Mail-Einrichtung parallel zu dieser Seite geöffnet.

Direkt, Relay oder hybrid zustellen

Es gibt keine allgemeingültige Monatsvolumen-Zahl, ab der ein dedizierter VPS zustellbarer oder günstiger als ein Relay wird. Listenqualität, Traffic-Muster, Betriebsaufwand, IP-Historie, Providergebühren und die Kosten verzögerter Mail wiegen schwerer als ein einzelner Schwellenwert.

Die aktuelle Droplet-Policy von DigitalOcean macht die Entscheidung besonders einfach: Die offizielle Dokumentation besagt, dass die SMTP-Ports 25, 465 und 587 auf allen Droplets blockiert sind, einschließlich Traffic über eine Reserved IP. Nutzen Sie dort ein Relay, statt Direktzustellung an MX zu planen.

Siehe Provider für Relay-Konfiguration und Domain-Verifizierung. Relay-Zugangsdaten allein machen eine Domain noch nicht berechtigt: Schließen Sie den von Owlat angezeigten DNS-Nachweis ab, bevor Sie das Fallback aktivieren.

Vergleich der VPS-Provider

Provider-Richtlinien können sich ändern. Diese Tabelle wurde am 26. Juli 2026 gegen die offizielle Provider-Dokumentation geprüft; prüfen Sie die verlinkte Quelle erneut, bevor Sie einen Server kaufen.

Quellen: Hetzner-Cloud-Mailport-Policy, Hetzner Cloud rDNS, DigitalOcean-SMTP-Policy, DigitalOcean PTR-Einträge, DigitalOcean IPv6-Limits, OVHcloud VPS FAQ und OVHcloud VPS Reverse DNS.

Das Deliverability Center stellt dieselben kanonischen Provider-Anweisungen inline dar:

Diese Produkt-Leitfäden dokumentieren keine Delegation der Reverse-Zone an Ihre eigenen Nameserver. Nutzen Sie den dort dokumentierten, providerverwalteten PTR-Workflow. Taucht Ihr gewähltes Produkt oder Ihre IPv6-Adresse in diesem Workflow nicht auf, holen Sie eine schriftliche Bestätigung des Providers ein, bevor Sie die Adresse als versandfähig behandeln.

Den Server vor der Einrichtung prüfen

Führen Sie diese Prüfungen durch, bevor Sie den eingebauten MTA aktivieren:

1. Vergewissern Sie sich, dass genau dieses VPS-Produkt ausgehendes TCP/25 erlaubt. Die Submission-Ports 465 und 587 ersetzen Port 25 für die Direktzustellung an die MX-Server der Empfänger nicht.
2. Reservieren Sie eine stabile öffentliche IPv4-Adresse und wählen Sie einen dedizierten Hostnamen wie mail.example.com. Teilen Sie den Hostnamen nicht mit der Webanwendung.
3. Veröffentlichen Sie einen A-Record von diesem Hostnamen auf die versendende IPv4-Adresse.
4. Setzen Sie den PTR der Adresse im Control-Panel des VPS-Providers auf exakt denselben Hostnamen.
5. Tragen Sie die Adresse in den passenden IP_POOLS_*-Wert ein und setzen Sie EHLO_HOSTNAME (bzw. den zugehörigen Eintrag in EHLO_HOSTNAMES pro IP) auf denselben Hostnamen.
6. Schließen Sie die Einrichtung von SPF, DKIM, DMARC und Return-Path in DNS- & E-Mail-Einrichtung ab.
7. Führen Sie owlat doctor aus. Deuten Sie „Container laufen“ nicht als „die IP ist versandbereit“.

Die Bereitschafts-Checkliste für ausgehende IPs

Owlat betrachtet Bereitschaft als Live-Zustand, nicht als Häkchen bei der Einrichtung. Eine neue Adresse startet inaktiv, der MTA verifiziert sie, bevor Worker starten, und die Prüfung wiederholt sich stündlich. Ein harter Fehlschlag stellt die Adresse unter Quarantäne und macht ihre gepoolten SMTP-Sockets ungültig. Bleibt keine berechtigte Adresse übrig, verbleibt Mail in der Warteschlange, statt über eine unverifizierte Quelle abzufließen.

Für jede versendende IPv4-Adresse muss owlat doctor Folgendes melden:

• PTR vorhanden — die Adresse löst zu einem Hostnamen auf.
• PTR ist ein gültiger FQDN — kein IP-Literal und kein fehlerhafter lokaler Name.
• Forward-Bestätigung besteht — die A-Records dieses Hostnamens enthalten exakt die versendende Adresse.
• EHLO stimmt überein — der MTA kündigt denselben Hostnamen an.
• Der PTR ist aussagekräftig — ein Provider-Standard-PTR oder ein adressförmiger PTR ist nur mit Warnung zulässig; ersetzen Sie ihn, bevor Sie Reputation aufbauen.
• Keine kritische DNSBL-Sperre aktiv — ein kritischer Eintrag nimmt die Adresse eigenständig aus der Rotation.

Die Live-Details finden Sie unter Zustellungsgesundheit → Ausgehende IPs sowie im authentifizierten MTA-Endpunkt GET /ip-reputation. Zu jedem Verdikt-Feld und jeder Pool-Regel siehe MTA-System. Schlägt eine DNSBL-Prüfung fehl, nutzen Sie das DNSBL-Recovery-Runbook, keinen Override.

MTA_ALLOW_UNVERIFIED_FCRDNS=true existiert ausschließlich für Laborversuche mit privaten IPv4-Adressen. Es ist kein Produktions-Bypass und kann IPv6 nicht zulassen.

Ausgehendes IPv6 erst hinzufügen, wenn IPv4 grün ist

IPv6 ist optional und standardmäßig deaktiviert. Es verbessert die Platzierung nicht automatisch. Jeder Pool, der IPv6 enthält, muss ein IPv4-Fallback behalten, und alle konfigurierten IPv4-Identitäten müssen bereit bleiben.

Bevor Sie MTA_IPV6_ENABLED=true setzen, verlangt Owlat:

1. Eine stabile öffentliche IPv6-Adresse, die den quellgebundenen TCP/25-Test des MTA besteht.
2. Einen PTR auf denselben EHLO-Hostnamen.
3. Einen AAAA-Record von diesem Hostnamen zurück auf exakt diese IPv6-Adresse.
4. Einen SPF-Record auf RETURN_PATH_DOMAIN, der den exakten positiven ip6:-Mechanismus für diese Adresse enthält.
5. Keine kritische DNSBL-Sperre.

Derselbe stündliche Bereitschaftsdurchlauf stellt IPv6 unter Quarantäne, wenn eine dieser bestätigten Tatsachen zurückfällt; berechtigtes IPv4 läuft weiter. Folgen Sie der ausführlichen, geordneten Anleitung unter Optionales ausgehendes IPv6.

Wie die Aufwärmwochen 1–4 aussehen

Die folgende Tabelle ist Owlats eingecheckter Basisplan pro IP. Der „Aufwärmtag“ ist ein Zustand, kein garantiertes Kalenderdatum: Ein Tag ohne Sendungen bringt ihn nicht voran, und Zustellsignale können die Rampe beschleunigen, verlangsamen oder pausieren. Jedes Limit bleibt bis zum nächsten aufgeführten Checkpoint in Kraft.

Senden Sie zuerst an aktuelle, ausdrückliche Opt-ins, die die Nachricht erwarten. Halten Sie das Volumen gleichmäßig, statt das Limit in einem Schub auszuschöpfen.

Das sind Steuerungsschwellen, keine Zielwerte. Halten Sie Bounces und Beschwerden weit darunter. Behalten Sie die Zustellungsgesundheit und die Empfänger-Dashboards im Blick, die unter Externes Reputations-Feedback beschrieben sind.

Kennen Sie die Mindestanforderungen der E-Mail-Anbieter

Ein Warm-up hebt die Anforderungen der Empfängerseite nicht auf. Gmail und Yahoo erwarten von allen Absendern gültiges Forward- und Reverse-DNS. Googles operative Empfehlung lautet, die Spam-Rate in den Postmaster Tools unter 0,10 % zu halten und 0,30 % oder mehr nie zu erreichen. Yahoo verlangt eine eigene Beschwerderate unter 0,3 % und berechnet diese Rate aus den in den Posteingang zugestellten Nachrichten. Diese Nenner sind unterschiedlich, weshalb Owlats rollierende interne Rate eher eine Frühwarnung als eine Reproduktion der internen Berechnung eines Anbieters ist.

Werbliche Massenmail benötigt außerdem ausgerichtete Authentifizierung und eine funktionierende Abmeldung. Sehen Sie sich die aktuelle Anforderungstabelle der E-Mail-Anbieter an, bevor Sie das Volumen erhöhen.

Die Rampe betreiben

Im ersten Monat:

• Prüfen Sie täglich die Zustellungsgesundheit auf Warm-up-Zustand, Deferrals, Breaker-Zustand, Identitätsrückfälle und DNSBL-Ergebnisse.
• Prüfen Sie Google Postmaster Tools, Yahoo Sender Hub/CFL und Microsoft SNDS, soweit der Anbieter Daten bereitstellt. Owlat kann das interne Reputationsurteil eines Anbieters nicht aus den eigenen Zählern ableiten.
• Hören Sie auf, alte Listen zu importieren oder anzuschreiben. Eine einzelne Beschwerde bei geringem Volumen ist ein starkes Signal, selbst wenn eine Mindeststichproben-Schutzregel die automatische Durchsetzung verhindert.
• Behandeln Sie anhaltende Deferrals als Aufforderung, die Rate zu senken. Wiederholen Sie Zustellversuche nicht in schneller Folge und verschieben Sie denselben unerwünschten Traffic nicht auf eine andere IP.
• Halten Sie transaktionale und Kampagnen-Streams getrennt, wo Sie mehrere Adressen haben; opfern Sie die Zustellung von Passwort-Resets nicht dem Aufwärmen einer Marketingliste.

Für Netzwerkbetrieb, Backups und Monitoring außerhalb des MTA fahren Sie mit Produktions-Deployment fort.